PHP2Shell: Warum gestern halb Deutschland offline war – und was das für Dich bedeutet 

Du wolltest am Mittwoch einen Termin beim Bürgeramt buchen, die Website Deiner Krankenkasse aufrufen oder bei der Verbraucherzentrale nachlesen – und hast nur eine Fehlermeldung bekommen? Dann warst Du nicht allein. Am 21. Oktober 2026 haben Städte, Bundesländer, Universitäten und Kliniken ihre Websites bewusst abgeschaltet. Der Grund hat einen Namen: PHP2Shell. 

Hier erfährst Du, was dahintersteckt, ob Du etwas tun musst und worauf Du in den nächsten Wochen achten solltest. 

Was ist PHP überhaupt? 

PHP ist eine Programmiersprache, die im Hintergrund von Websites läuft. Du siehst sie nie, aber sie ist praktisch überall: WordPress-Blogs, Onlineshops, Kundenportale, Behördenseiten. Schätzungen zufolge basieren rund drei Viertel aller Websites weltweit darauf. Man kann sich PHP wie das Fundament eines Hauses vorstellen. Es ist unsichtbar, aber alles steht darauf. 

Was ist passiert? 

Sicherheitsforscher haben zwei Fehler in diesem Fundament gefunden. Beide stecken seit über zehn Jahren im Code, waren bisher aber so schwer auszunutzen, dass es praktisch niemand geschafft hat. Mit Unterstützung von KI-Modellen gelang es den Forschern jetzt doch. Die Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619 und wurden mit 9,2 von 10 Punkten als kritisch bewertet. 

Das Gefährliche daran: Ein Angreifer braucht kein Passwort und muss niemanden austricksen. Er schickt einfach viele speziell präparierte Anfragen an eine Website – und kann im schlimmsten Fall den kompletten Server übernehmen. In einer Vorführung der Entdecker dauerte das 38 Sekunden. 

Eigentlich sollte die Lücke erst mit dem passenden Update öffentlich werden. Doch Details sickerten vorab durch. Das PHP-Team zog die Veröffentlichung der Updates deshalb um einen Tag vor. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rief die zweithöchste Warnstufe „Orange“ aus und empfahl, ungepatchte Server notfalls vom Netz zu nehmen. Genau das haben viele Betreiber getan. Die Stadt Mainz schaltete ihr Portal mainz.de ab, in Bayern und Niedersachsen waren zeitweise Polizei- und Behördenseiten nicht erreichbar. 

Musst Du jetzt etwas tun? 

Als normaler Internetnutzer: nein. Die Lücke sitzt nicht auf Deinem Handy oder Laptop, sondern auf den Servern der Website-Betreiber. Es gibt kein Update, das Du installieren müsstest. 

Trotzdem kann Dich die Sache indirekt treffen: 

• Ausfälle: Einige Websites bleiben noch ein paar Tage offline, bis die Betreiber die Updates eingespielt haben. Das ist ärgerlich, aber ein gutes Zeichen – diese Betreiber nehmen Sicherheit ernst. 
• Datenabfluss: Wo eine Website zu spät aktualisiert wurde, könnten Angreifer Kundendaten abgegriffen haben. Ob und wo das passiert ist, wird sich erst in den kommenden Wochen zeigen. 
• Phishing: Nach solchen Vorfällen kommen erfahrungsgemäß gefälschte E-Mails im Stil von „Wegen der PHP-Lücke müssen Sie Ihr Passwort zurücksetzen“. Klick auf keine Links aus solchen Mails. Wenn Du unsicher bist, geh direkt über die Website des Anbieters. 

Eine sinnvolle Vorsichtsmaßnahme ist ohnehin: Wenn Du ein Passwort an mehreren Stellen verwendest, ändere das jetzt. Ein Passwort-Manager und Zwei-Faktor-Anmeldung machen Dich gegen die Folgen solcher Lecks weitgehend immun. 

Du betreibst selbst eine Website oder einen kleinen Shop? 

Dann gilt: Nicht abwarten. Ein Update von WordPress, Shopware oder einem Sicherheits-Plugin reicht nicht, weil der Fehler in PHP selbst steckt. Nötig ist eine der korrigierten Versionen 8.5.12, 8.4.27, 8.3.36 oder 8.2.35. 

Drei Fragen, die Du klären solltest: 

1. Wer kümmert sich um den Server? Wenn Du Webspace bei einem Hoster gemietet hast, hat dieser das Update in der Regel schon eingespielt oder arbeitet daran. Frag nach, und zwar heute. 

2. Welche PHP-Version läuft? Alles unter 8.2 wird vom PHP-Projekt nicht mehr unterstützt. Dafür gibt es keinen regulären Patch. Wer dort noch unterwegs ist, muss jetzt umstellen. 

3. Gibt es vergessene Systeme? Das alte Intranet, die Testumgebung von 2019, das Buchungstool, das „nur intern“ läuft. Angreifer scannen das gesamte Internet automatisiert ab, da zählt jeder Server. 

Amazon hat bereits am 17. Oktober – vier Tage vor der Veröffentlichung – erste Angriffsversuche auf einem Köder-Server registriert. Cloudflare meldet seit Mittwoch Millionen Angriffsversuche. Erfolgreiche Übernahmen sind bisher nicht öffentlich bestätigt, aber die Zeit läuft. 

Was wir daraus mitnehmen 

PHP2Shell zeigt zwei Dinge sehr deutlich. Erstens: Die Zeit zwischen Bekanntwerden einer Lücke und dem ersten Angriff schrumpft auf Stunden. Wer Updates „nächste Woche“ einplant, ist zu spät. Zweitens: Viele Unternehmen wissen gar nicht genau, welche Software wo bei ihnen läuft. Genau das wird zum Problem, wenn es schnell gehen muss. 

Für unsere Kunden haben wir am Mittwoch die betroffenen Systeme identifiziert und die Updates eingespielt. Nicht, weil wir hellsehen können, sondern weil wir wissen, was wo läuft, und weil Patch-Management bei uns ein fester Prozess ist, kein Feuerwehreinsatz. 

Wenn Du nicht sicher bist, ob Deine Website oder Deine Systeme betroffen sind: Melde Dich. Wir schauen uns das an.